[发明专利]一种基于沙盒的病毒检测方法、系统及相关装置

权利要求书

1.一种基于沙盒的病毒检测方法，其特征在于，包括：

将病毒样本和正常样本输入至云端沙盒并进行行为特征分析，得到第一行为分析报告；

提取所述第一行为分析报告中的病毒行为特征，并将所述病毒行为特征作为训练集训练分类模型；

利用所述分类模型对可疑文件执行基于行为分析的病毒检测操作。

2.根据权利要求1所述病毒检测方法，其特征在于，所述病毒行为特征包括网络行为特征、文件操作行为特征、进程和服务行为特征和模块加载行为特征。

3.根据权利要求1所述病毒检测方法，其特征在于，将病毒样本和正常样本输入至云端沙盒并进行行为特征分析，得到第一行为分析报告包括：

将所述病毒样本和所述正常样本输入至所述云端沙盒并进行行为特征分析，得到所述病毒样本对应的病毒特征分析结果和所述正常样本对应的正常特征分析结果；

将所述病毒特征分析结果和所述正常特征分析结果进行对比分析得到所述第一行为分析报告。

4.根据权利要求1所述病毒检测方法，其特征在于，还包括：

当接收到设备端发送的分类模型更新请求时，将当前周期生成的所述分类模型下发至所述设备端的设备端沙盒，以便所述设备端利用所述分类模型检测可疑文件是否为病毒文件。

5.根据权利要求4所述病毒检测方法，其特征在于，所述设备端利用所述分类模型检测可疑文件是否为病毒文件包括：

当所述设备端检测到所述可疑文件时，将所述可疑文件输入至所述设备端沙盒并进行行为特征分析，得到第二行为分析报告；

利用所述分类模型对所述第二行为分析报告进行基于行为分析的病毒检测操作，并根据检测结果判断所述可疑文件是否为所述病毒文件。

6.一种基于沙盒的病毒检测系统，其特征在于，包括：

报告生成模块，用于将病毒样本和正常样本输入至云端沙盒并进行行为特征分析，得到第一行为分析报告；

模型训练模块，用于提取所述第一行为分析报告中的病毒行为特征，并将所述病毒行为特征作为训练集训练分类模型；

检测模块，用于利用所述分类模型对可疑文件执行基于行为分析的病毒检测操作。

7.根据权利要求6所述病毒检测系统，其特征在于，所述病毒行为特征包括网络行为特征、文件操作行为特征、进程和服务行为特征和模块加载行为特征。

8.根据权利要求6所述病毒检测系统，其特征在于，所述报告生成模块包括：

特征分析单元，用于将所述病毒样本和所述正常样本输入至所述云端沙盒并进行行为特征分析，得到所述病毒样本对应的病毒特征分析结果和所述正常样本对应的正常特征分析结果；

对比单元，用于将所述病毒特征分析结果和所述正常特征分析结果进行对比分析得到所述第一行为分析报告。

9.根据权利要求6所述病毒检测系统，其特征在于，还包括：

模型下发模块，用于当接收到设备端发送的分类模型更新请求时，将当前周期生成的所述分类模型下发至所述设备端的设备端沙盒，以便所述设备端利用所述分类模型检测可疑文件是否为病毒文件。

10.根据权利要求9所述病毒检测系统，其特征在于，还包括：

可疑文件分析模块，用于当所述设备端检测到所述可疑文件时，将所述可疑文件输入至所述设备端沙盒并进行行为特征分析，得到第二行为分析报告；

病毒检测模块，用于利用所述分类模型对所述第二行为分析报告进行基于行为分析的病毒检测操作，并根据检测结果判断所述可疑文件是否为所述病毒文件。

11.一种基于沙盒的病毒检测装置，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时执行如权利要求1至4任一项所述的基于沙盒的病毒检测方法的步骤。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至5任一项所述的基于沙盒的病毒检测方法的步骤。